Amazon заметила эксплуатацию PHP2Shell за четыре дня до публичного раскрытия уязвимости
Amazon identifies Oct 17 PHP2Shell exploitation prior to public disclosure
Amazon Threat Intelligence зафиксировала в телеметрии MadPot попытку эксплуатации PHP2Shell ещё 17 октября 2026 года — за четыре дня до снятия эмбарго на CVE-2026-109618 и CVE-2026-109619. Атака шла с IP-адреса коммерческой сети анонимизации, и как злоумышленник получил сведения об уязвимости до раскрытия, неизвестно. После публикации патча рабочие эксплойты появились в течение часов, а AI-ассистенты удешевляют превращение diff'а в эксплойт. AWS советует мерить сроки патчинга часами и искать следы компрометации с 17 октября.
Эмбарго защищает защитников лишь до тех пор, пока тот же баг не найдёт кто-то другой. Скоординированное раскрытие остаётся верной моделью, но защитникам не стоит считать дату публичного раскрытия самой ранней датой эксплуатации.
- andyvanosdale
Если это зондировали и/или эксплуатировали 17 октября, это бросает тень на команду PHP за то, что они бросили тень на Chainguard в своём публичном объявлении.
По сути, команда PHP уходит от ответственности и отказывается от неё во всём этом бардаке, который они сами создали. «Chainguard нарушил эмбарго», «поддержите нас деньгами», «мы всего лишь волонтёры», «мы знали об этом годами, но не было POC, потому что мы хотели выпускать фичи, а не исправления безопасности». Всё это просто отговорки.
Этот фиаско показывает мне, что я никогда не буду использовать PHP ни в одном проекте, в котором участвую. Команда PHP капитально облажалась и перекладывает вину налево, направо, вверх и вниз.
- hyperpape
Есть также твит Мэтью Принса, в котором говорится, что Cloudflare зафиксировала тысячи попыток до анонса, https://x.com/eastdakota/status/2113079352682570051, затем десятки тысяч после анонса, а теперь миллионы.
К сожалению, если читать анонс как относящийся к 14:00 UTC, это на несколько часов позже, чем Chainguard опубликовал свои образы. Не знаю, правдоподобно ли, что люди увидели сборки Chainguard, поняли проблему по ним и создали эксплойты, но точная хронология помогла бы лучше понять.
- VladVladikoff
Я видел зондирование этого в серверных логах, но не фактическую эксплуатацию. Думаю, ботнеты добавили это в свои сканеры уязвимостей, но я пока не видел ни одного примера реально работающего эксплойта. На GitHub есть сотни попыток, написанных на вайбе, но, насколько мне известно, ни одна из них не работает. Хотел бы, чтобы кто-нибудь доказал мне обратное.
Кроме того, этот пост от Amazon — это позор. Они знали об этом с 17-го, но не уложились в сроки эмбарго и не выпустили патч для Amazon Linux (их патч должен выйти сегодня, 22 октября).
- decidu0us9034
«Попытка эксплуатации» — расплывчато. Бот-сканеры постоянно генерируют огромные объёмы странного трафика. Есть ли у кого-нибудь портативный, надёжный эксплойт, который работает в реальных разнородных условиях, а не в лабораторной установке, и вообще это осуществимо? Похоже, что нет. LLM автоматизируют разработку практических эксплойтов, но не устраняют все ограничения, которые изначально делают их сложными. Кажется, люди этого не замечают, не знаю.
- menomatter
Они различают попытки и успешное проникновение? Я пытаюсь понять, легко ли использовать этот эксплойт или нет. Вчера здесь была статья, в которой утверждалось, что эксплойт не прост в использовании и требует LFI.